Configurare il caricamento automatico dei log usando Docker locale in Windows

È possibile configurare il caricamento automatico dei log per i report continui in Defender per il cloud App usando un Docker in Windows.

Prerequisiti

  • Specifiche dell'architettura:

    • Sistema operativo: uno dei seguenti:

      • Windows 10 (fall creators update)

      • Windows Sever versione 1709+ (SAC)

      • Windows Server 2019 (LTSC)

    • Spazio su disco: 250 GB

    • Core CPU: 2

    • Architettura DELLA CPU: Intel 64 e AMD 64

    • RAM: 4 GB

    Per un elenco delle architetture Docker supportate, vedere la documentazione sull'installazione di Docker.

  • Impostare il firewall come descritto in Requisiti di rete

  • La virtualizzazione nel sistema operativo deve essere abilitata con Hyper-V

Importante

  • I clienti aziendali con più di 250 utenti o più di $ 10 milioni di DOLLARI in ricavi annuali richiedono una sottoscrizione a pagamento per l'uso di Docker Desktop per Windows. Per altre informazioni, vedere Panoramica della sottoscrizione di Docker.
  • Per raccogliere i log, è necessario che un utente sia connesso a Docker. È consigliabile consigliare agli utenti docker di disconnettersi senza disconnettersi.
  • Docker per Windows non è ufficialmente supportato negli scenari di virtualizzazione VMWare.
  • Docker per Windows non è ufficialmente supportato negli scenari di virtualizzazione annidati. Se si prevede ancora di usare la virtualizzazione annidata, vedere la guida ufficiale di Docker.
  • Per informazioni sulle considerazioni aggiuntive sulla configurazione e sull'implementazione per Docker per Windows, vedere Installare Docker Desktop in Windows.

Nota

Se si dispone di un agente di raccolta log esistente e si vuole rimuoverlo prima di distribuirlo di nuovo o se si vuole semplicemente rimuoverlo, eseguire i comandi seguenti:

docker stop <collector_name>
docker rm <collector_name>

Prestazioni dell'agente di raccolta log

L'agente di raccolta log è in grado di gestire correttamente una capacità di log fino a 50 GB all'ora. I principali colli di bottiglia nel processo di raccolta dei log sono:

  • Larghezza di banda della rete: la larghezza di banda della rete determina la velocità di caricamento dei log.

  • Prestazioni di I/O della macchina virtuale: determina la velocità con cui i log vengono scritti nel disco dell'agente di raccolta log. L'agente di raccolta log ha un meccanismo di protezione integrato che controlla la velocità con cui arrivano i log e la confronta con la velocità di caricamento. In caso di congestione, l'agente di raccolta log inizia a eliminare file di log. Se generalmente la configurazione supera i 50 GB all'ora, è consigliabile suddividere il traffico tra più agenti di raccolta log.

Impostazione e configurazione

  1. Nel portale di Microsoft Defender selezionare Impostazioni. Scegliere quindi App cloud.

  2. In Cloud Discovery selezionare Caricamento automatico dei log. Selezionare quindi la scheda Origini dati .

  3. Per ogni firewall o proxy da cui si vogliono caricare i log, creare un'origine dati corrispondente.

    1. Selezionare +Aggiungi origine dati.
      Add a data source.
    2. Assegnare un nome al proxy o al firewall.
      Add name for data source.
    3. Selezionare il dispositivo dall'elenco Origine. Se si seleziona Formato del log personalizzato per usare un'appliance di rete non elencata, vedere Usare il parser di log personalizzato per le istruzioni di configurazione.
    4. Confrontare il log con l'esempio del formato di log previsto. Se il formato del file di log non corrisponde a questo esempio, è necessario aggiungere l'origine dati come Altro.
    5. Impostare Tipo di ricevitore su FTP, FTPS, Syslog - UDP, Syslog - TCP o Syslog - TLS.

    Nota

    L'integrazione con i protocolli di trasferimento sicuro (FTPS e Syslog -TLS) richiede spesso ulteriori impostazioni o l'uso di firewall/proxy.

    f. Ripetere questa procedura per ogni firewall e proxy i cui log possono essere usati per rilevare il traffico nella rete. È consigliabile configurare un'origine dati dedicata per ogni dispositivo di rete, per poter eseguire le operazioni seguenti:

    • Monitorare separatamente lo stato di ogni dispositivo, per scopi di analisi.
    • Esplorare Shadow IT Discovery per i singoli dispositivi, se ogni dispositivo viene usato da un segmento di utenti diverso.
  4. Passare alla scheda Agenti di raccolta log nella parte superiore.

    1. Selezionare Aggiungi agente di raccolta log.
    2. Assegnare un nome all'agente di raccolta log.
    3. Immettere l'indirizzo IP host (indirizzo IP privato) del computer che verrà usato per distribuire Docker. L'indirizzo IP host può essere sostituito con il nome del computer, se è presente un server DNS (o equivalente) che risolverà il nome host.
    4. Selezionare tutte le origini dati da connettere all'agente di raccolta e selezionare Aggiorna per salvare la configurazione. Select data source to connect.
  5. Verranno visualizzate altre informazioni sulla distribuzione. Copiare il comando run dalla finestra di dialogo. È possibile usare l'icona copia negli Appunti, copy to clipboard icon.. che sarà necessario più avanti.

  6. Esportare la configurazione delle origini dati prevista. Questa configurazione descrive come impostare l'esportazione dei log nelle appliance.

    Create log collector.

    Nota

    • Un singolo agente di raccolta log può gestire più origini dati.
    • Copiare il contenuto della schermata perché saranno necessarie le informazioni quando si configura l'agente di raccolta log per comunicare con Defender per il cloud App. Se è stato selezionato Syslog, questi dati includeranno informazioni sulla porta su cui il listener del registro di sistema è in ascolto.
    • Per gli utenti che inviano i dati di log tramite FTP per la prima volta, è consigliabile modificare la password per l'utente FTP. Per altre informazioni, vedere Modifica della password FTP.

Passaggio 2: Distribuzione del computer locale

La procedura seguente descrive la distribuzione in Windows. I passaggi per la distribuzione in altre piattaforme sono leggermente diversi.

  1. Aprire un terminale di PowerShell come amministratore nel computer Windows.

  2. Eseguire il comando seguente per scaricare il file di script di PowerShell del programma di installazione di Windows Docker: Invoke-WebRequest https://adaprodconsole.blob.core.windows.net/public-files/LogCollectorInstaller.ps1 -OutFile (Join-Path $Env:Temp LogCollectorInstaller.ps1)

    Per verificare che il programma di installazione sia firmato da Microsoft, vedere Convalidare la firma del programma di installazione.

  3. Per abilitare l'esecuzione di script di PowerShell, eseguire Set-ExecutionPolicy RemoteSigned

  4. Esegui: & (Join-Path $Env:Temp LogCollectorInstaller.ps1) installa il client Docker nel computer.

    Docker is installed.

    Dopo aver eseguito il comando, il computer verrà riavviato automaticamente.

  5. Quando il computer è operativo di nuovo, eseguire lo stesso comando in PowerShell: & (Join-Path $Env:Temp LogCollectorInstaller.ps1)

    Run PowerShell command again.

  6. Eseguire il programma di installazione di Docker. Selezionare Usa WSL 2 anziché Hyper-V (scelta consigliata):

    Installing Docker desktop.

    Al termine dell'installazione, il computer verrà riavviato automaticamente.

  7. Al termine del riavvio, aprire il client Docker e passare al contratto di sottoscrizione Docker:

    Accept Docker service agreement.

  8. Se l'installazione di WSL2 non è stata completata, verrà visualizzato il messaggio popup seguente:

    WSL 2 installation is incomplete.

  9. Completare l'installazione scaricando il pacchetto come illustrato in Scaricare il pacchetto di aggiornamento del kernel Linux.

  10. Aprire di nuovo il client Docker Desktop e assicurarsi che sia stato avviato:

    Open the Docker Desktop client.

  11. Eseguire CMD come amministratore e digitare il comando run generato nel portale. Se è necessario configurare un proxy, aggiungere l'indirizzo IP e il numero di porta del proxy. Ad esempio, se i dettagli del proxy sono 192.168.10.1:8080, il comando run aggiornato è:

    (echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='192.168.1.1'" -e "PROXY=192.168.10.1:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
    

    Create log collector.

  12. Eseguire il comando seguente per verificare che l'agente di raccolta log venga eseguito correttamente: docker logs <collector_name>

Verrà visualizzato il messaggio Finished successfully! (Operazione completata).

Verify that collector is running properly.

Passaggio 3: Configurazione locale delle appliance di rete

Configurare i firewall e i proxy della rete per esportare periodicamente i log sulla porta Syslog dedicata della directory FTP secondo le istruzioni visualizzate nella finestra di dialogo. Ad esempio:

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Passaggio 4: Verificare la corretta distribuzione nel portale

Controllare lo stato dell'agente di raccolta nella tabella Agente di raccolta log e verificare che lo stato sia Connesso. Se lo stato è Creato, è possibile che la connessione e l'analisi dell'agente di raccolta log non siano ancora state completate.

Verify that the collector status is Connected.

È anche possibile passare al log di governance per verificare che i log vengano caricati periodicamente nel portale.

In alternativa, è possibile controllare lo stato dell'agente di raccolta log dall'interno del contenitore Docker usando i comandi seguenti:

  1. Accedere al contenitore usando questo comando: docker exec -it <Container Name> bash
  2. Verificare lo stato dell'agente di raccolta log usando questo comando: collector_status -p

Se si verificano problemi durante la distribuzione, vedere Risoluzione dei problemi in Cloud Discovery.

Facoltativo: creare report continui personalizzati

Verificare che i log vengano caricati in app Defender per il cloud e che i report vengano generati. Dopodiché, creare report personalizzati. È possibile creare report di individuazione personalizzati in base ai gruppi di utenti di Microsoft Entra. Ad esempio, per vedere come viene usato il cloud dal reparto marketing, importare il gruppo marketing usando la funzionalità di importazione del gruppo utenti, quindi creare un report personalizzato per questo gruppo. È anche possibile personalizzare un report in base a un tag dell'indirizzo IP o a intervalli di indirizzi IP.

  1. Nel portale di Microsoft Defender selezionare Impostazioni. Scegliere quindi App cloud.

  2. In Cloud Discovery selezionare Report continui.

  3. Selezionare il pulsante Crea report e compilare i campi.

  4. Nella sezione Filtri è possibile filtrare i dati in base a origine dati, gruppo utenti importato o tag e intervalli di indirizzi IP.

    Nota

    Quando si applicano filtri ai report continui, la selezione verrà inclusa, non esclusa. Ad esempio, se si applica un filtro per un determinato gruppo di utenti, nel report verrà incluso solo il gruppo di utenti.

    Custom continuous report.

Facoltativo - Convalidare la firma del programma di installazione

Per assicurarsi che il programma di installazione di Docker sia firmato da Microsoft:

  1. Fare clic con il pulsante destro del mouse sul file e scegliere Proprietà.

  2. Selezionare Firmedigitali e assicurarsi che la firma digitale sia OK.

  3. Verificare che l'opzione Microsoft Corporation sia elencata come unica voce sotto Name of signer (Nome del firmatario).

    Digital signature valid.

    Se la firma digitale non è valida, verrà indicato Che la firma digitale non è valida:

    Digital signature not valid.

Passaggi successivi

Se si verificano problemi, siamo qui per aiutare. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto.